阿富汗LTE／4G伪基站＋GSM中间人

在阿富汗复杂的地缘政治与通信环境中，LTE/4G与GSM共存的网络架构正成为中间人攻击（MITM）的温床。本文从信令协议、硬件漏洞、加密降级三个维度，剖析攻击者如何利用伪基站伪装与信令中继，实现用户数据窃取与网络篡改。

1. 混合网络下的威胁模型

阿富汗移动通信网络同时承载GSM（900/1800MHz）与LTE FDD（Band 3/8）以及部分TDD频段。由于2G网络缺乏双向鉴权机制，攻击者可通过部署低成本伪伪基站（IMSI Catcher）强制终端降级至GSM，从而实施中间人攻击。而LTE/4G侧，攻击者则利用S1-MME接口的信令盲区，伪造eNodeB与MME之间的消息，劫持附着与寻呼流程。

2. GSM中间人：伪伪基站与加密降级

GSM A5/1加密算法已被证明可被实时破解。在阿富汗，攻击者经常使用开源工具（如YateBTS、OpenBTS）配合USRP B210搭建伪伪基站。当用户设备（UE）扫描小区时，伪伪基站以更高功率的广播信道（BCCH）吸引UE驻留，随后发起“身份请求”获取IMSI，并强制使用A5/0（明文）或A5/1（弱加密）。

通过上述手段，攻击者可实时窃听语音通话（TCH）与短信（SMS），并进一步向LTE核心网发起“伪造位置更新”，将用户流量牵引至受控网关。

3. LTE/4G信令劫持：S1-AP与NAS欺骗

LTE虽然引入了EPS-AKA双向鉴权，但若攻击者已通过GSM侧获取IMSI和Ki（或临时密钥），则可在4G侧实施“中间人中继”——伪造eNB与MME之间的S1-AP消息，篡改附着接受（Attach Accept）中的GUTI与安全上下文。更高级的攻击包括：

• 重定向攻击： 伪造RRC释放消息中的重定向信息，将UE驱至恶意GSM小区。
• 寻呼监听： 通过被动嗅探S1接口的寻呼消息，定位特定用户。
• PDN篡改： 修改默认承载的APN，劫持用户数据至代理服务器。

4. 真实攻击场景：双模伪基站中间人

2026年初，安全研究团队在喀布尔郊区捕获到一种新型攻击设备——该设备集成了LTE eNB与GSM BTS功能，通过软件无线电（SDR）实现双模同步。攻击流程如下：

1. 信令嗅探： 被动监听LTE S1接口，获取用户GUTI与TAU消息。
2. 降级触发： 在LTE侧发送“跟踪区域更新拒绝”（TAU Reject）并携带原因值#15（无可用小区），强制UE搜索GSM。
3. GSM捕获： 伪伪基站以更强的信号响应，完成鉴权与加密降级，窃取IMSI、IMEI及短信内容。
4. 持久化： 攻击者通过伪造的GSM伪基站，将UE重定向至其控制的LTE小伪基站，实现持续中间人。

该攻击利用了3GPP协议中“电路域回落”（CSFB）和“重定向”机制的固有缺陷，在阿富汗的现网中多次被证实有效。

5. 防御策略与缓解措施

针对上述威胁，运营商与安全团队可采取多层次防护：

• GSM侧： 部署伪伪基站检测系统（基于RSSI异常与C1/C2小区重选参数），并逐步关闭A5/0，强制使用A5/3（KASUMI）加密。
• LTE侧： 启用S1-AP完整性保护，部署信令防火墙（SIGTRAN过滤），监控异常TAU请求与GUTI重映射频率。
• 终端侧： 建议用户禁用2G（若支持），并使用支持“伪伪基站防护”的增强型SIM卡（如支持加密IMSI）。

6. 未来趋势与地缘安全

随着阿富汗电信基础设施的重建，4G向5G过渡尚需时日，GSM仍将长期存在。攻击者可能进一步利用OpenRAN架构的软硬件解耦，部署更隐蔽的“虚拟伪基站中间人”。此外，卫星通信（如Starlink）的引入可能改变攻击面，但GSM与LTE的“传统中间人”在低成本对抗中仍为首选。

对于安全研究员，阿富汗的案例提供了极具价值的“真实世界”协议漏洞验证场，其经验可辐射至其他发展中区域的混合网络防护。

关键技术指标 (MITM攻击面)

• 攻击成功率 (GSM侧): 高于92% (基于A5/0强制)
• LTE信令劫持延迟: 平均 180ms (S1接口伪造)
• 双模设备成本: 约 2,500 USD (USRP + 开源协议栈)
• 检测难度: 高 (信令混合, 难以区分合法与伪造伪基站)